Sugiro um oneliner diferente para vc identificar quem está enviando tais mensagens:
grep rexstartnow.com /var/log/exim_mainlog | grep "A=dovecot_plain" | awk -Fdovecot_plain '{ print $2 }' | awk '{ print $1 }' | sed 's/^\://g' | sort | uniq -c | sort -g
O retorno será a lista de emails que autenticaram tais mensagens no Exim ordenadas pela quantidade de mensagens enviadas por cada conta.